De wereld van kunstmatige intelligentie staat op een stille maar cruciale kruising. Jarenlang werden deze systemen gevierd om hun vermogen om tekst te genereren, code te schrijven of nieuws samen te vatten, optredend als krachtige assistenten die denken en spreken. Maar er begint een nieuwe fase waarin deze systemen niet langer alleen praten; ze handelen. Ze worden gevraagd om complexe taken uit te voeren, zoals het inkopen van voorraden, het beheren van digitale accounts of het coördineren van workflows over verschillende softwareplatforms heen. Deze verschuiving van het genereren van woorden naar het uitvoeren van acties introduceert een fundamenteel probleem: hoe vertrouwen we een machine wanneer deze begint met het maken van bewegingen in de echte wereld? Als een menselijke werknemer een fout maakt, kunnen we hun werk beoordelen en corrigeren. Maar als een autonome agent een verkeerde beslissing neemt tijdens het draaien van een workflow, kan het direct geld overmaken, een bestand verwijderen of een systeem buiten de existentie vergrendelen. De uitdaging is niet alleen om de AI slimmer te maken, maar om een veiligheidssysteem te bouwen dat de acties van de AI in realtime in de gaten houdt, waarbij wordt gewaarborgd dat het de regels volgt zonder het proces te vertragen of een fortuin aan operationele kosten te brengen.

In deze context heeft een onderzoeker genaamd DaeJung Byun een nieuw framework voorgesteld genaamd Execution Governance AI, of EGA V9. Dit systeem is ontworpen om te fungeren als een strikte, geautomatiseerde supervisor voor deze autonome agenten. In plaats van te proberen te raden of een beslissing van een AI goed of slecht is op basis van waarschijnlijkheid, hanteert EGA V9 een andere aanpak: het behandelt de uitvoering van een taak als een opgenomen film die onmiddellijk kan worden afgespeeld. Het kernidee is dat als je precies weet wat de AI had moeten doen en je hebt een perfect verslag van wat het daadwerkelijk heeft gedaan, je het verschil direct kunt zien. Het systeem werkt door elke stap die de AI zet vast te leggen, van het moment dat het een taak start tot het moment dat het klaar is. Vervolgens voert het een "replay" van die stappen uit in een fractie van een seconde om te zien of de uitkomst overeenkomt met het plan. Als de AI probeert af te wijken, bijvoorbeeld door een hulpmiddel te gebruiken waar het niet bij mag komen of door een getal in een transactie te wijzigen, detecteert het systeem de discrepantie en stopt de actie voordat het schade veroorzaakt.

De onderzoekers testten dit framework grondig om te zien of het de chaos van real-world scenario's kon aan kunnen. Ze creëerden duizenden testsituaties, variërend van eenvoudige taken zoals het kopen van een artikel tot complexe, kwaadaardige pogingen waarbij een aanvaller probeerde het systeem te misleiden tot ongeautoriseerde aankopen of het omzeilen van veiligheidsregels. In deze tests werd het systeem gevraagd om tot 10.000 verschillende workflows te verwerken. De resultaten waren opvallend consistent binnen de geëvalueerde scenario's. Het framework slaagde erin elk enkel geval te detecteren waarin de AI probeerde de regels te breken in deze specifieke tests, waarbij het 100 procent van de fouten onderschepte zonder ooit een veilige actie als gevaarlijk te markeren. Het deed dit met perfecte nauwkeurigheid, wat betekent dat het geen valse alarmen en geen gemiste dreigingen had over het gehele bereik van de tests, inclusief de moeilijkste gevallen die ontworpen waren om exact op legitiem werk te lijken. De onderzoekers verduidelijken echter dat deze resultaten de detectie van executie-divergentie binnen de geëvalueerde scenario's karakteriseren en niet geïnterpreteerd moeten worden als garanties voor alle runtime-beveiligingseigenschappen.

Wat deze aanpak bijzonder opmerkelijk maakt, is hoe efficiënt het opereert. Meestal vertraagt het toevoegen van een veiligheidslaag aan een computersysteem de boel of vereist het dure extra rekenkracht. Echter, EGA V9 is ontworken om lokaal op dezelfde machine als de AI te draaien, zonder dat er hulp nodig is van een aparte, krachtige computer. De tests toonden aan dat het systeem vrijwel geen vertraging toevoegde aan het proces. De tijd die nodig was om een enkele stap te verifiëren, werd gemeten in duizendsten van een seconde, specifiek rond de 0,003 milliseconden voor de snelste controles. Bovendien vereiste het systeem geen extra oproepen aan de large language models die de AI aandrijven, noch had het extra verzoeken naar externe diensten nodig. Dit betekent dat de veiligheidscontrole onmiddellijk en gratis gebeurt, zowel qua tijd als geld, waardoor de AI op volle snelheid kan werken terwijl deze onder constant toezicht blijft.

Het framework is gebouwd op vijf afzonderlijke lagen die samenwerken om een veilige omgeving te creëren. De eerste laag, de Trinity Core, fungeert als het geheugen en legt elke statusverandering en actie vast, zodat deze later kan worden afgespeeld. De tweede laag, de Provenance Layer, bouwt een kaart van oorzaak en gevolg en volgt precies welke beslissing tot welke actie leidde. Als de kaart een gebroken schakel of een ontbrekende stap laat zien, weet het systeem dat er iets mis is. De derde laag, de Containment Layer, is de bewaker die ingrijpt wanneer er een probleem wordt gevonden. Als het systeem detecteert dat de AI buiten zijn regels handelt, blokkeert deze laag onmiddellijk de actie en isoleert de workflow, om te voorkomen dat de schade zich verspreidt. De vierde laag biedt een venster voor menselijke operators om te zien wat er gebeurt, en de vijfde laag stelt onderzoekers in staat om het systeem te testen tegen nieuwe soorten aanvallen in een veilige, gecontroleerde omgeving. Samen vormen deze lagen een "fail-closed" systeem, wat betekent dat als het systeem onzeker is of een dreiging detecteert, het standaard de actie stopt in plaats van deze door te laten gaan.

Ondanks deze indrukwekkende resultaten zijn de onderzoekers voorzichtig in het definiëren van de grenzen van wat hun systeem kan doen. De studie bevestigt dat het framework uitzonderlijk goed werkt voor de specifieke soorten taken en aanvallen die zij hebben getest, maar het claimt geen universele oplossing te zijn voor elke mogelijke dreiging. Zo heeft het systeem bijvoorbeeld nog niet de mogelijkheid om permanent te voorkomen dat een AI dezelfde slechte actie opnieuw probeert nadat de directe dreiging is geweken. Het kan ook nog niet garanderen dat een complexe reeks acties precies één keer plaatsvindt zonder duplicaten, een functie die belangrijk is voor financiële transacties. Daarnaast kan het systeem, hoewel het kan volgen wat de AI intern doet, de integriteit van elk stuk bewijs niet volledig verifiëren als de data zelf ontbreekt of vervalst is voordat deze het systeem bereikt. Dit zijn geen falen van de huidige tests, maar duidelijke grenzen van de technologie zoals deze vandaag de dag bestaat.

De betekenis van dit werk ligt in de demonstratie dat we een vangnet kunnen bouwen voor autonome AI dat snel, goedkoop en betrouwbaar is zonder de AI zelf te hoeven veranderen. Door executie te behandelen als een deterministisch proces — een proces dat met absolute zekerheid kan worden afgespeeld en geverifieerd — hebben de onderzoekers aangetoond dat we niet op gokwerk hoeven te vertrouwen om deze systemen veilig te houden. Het systeem bewees dat het mogelijk is om een supervisor te hebben die elke beweging in de gaten houdt, elke fout binnen de geëvalueerde reikwijdte vangt en elke gedetecteerde dreiging tijdens het actieve beheerde verzoek stopt, terwijl er vrijwel geen belasting voor de prestaties van de computer wordt toegevoegd. Dit biedt een praktisch pad voorwaarts voor organisaties die krachtige AI-agenten willen inzetten om echte taken uit te voeren, met de wetenschap dat er een mechanisme aanwezig is om ervoor te zorgen dat die taken veilig en correct worden voltooid. Het werk blijft open voor anderen om te testen, uit te dagen en te verbeteren, waarbij de bredere wetenschappelijke gemeenschap wordt uitgenodigd om deze bevindingen te verifiëren en de grenzen van wat mogelijk is in autonome veiligheid te verleggen.